В прошлом месяце аналитиками Eset отмечен рост активности большинства угроз, входящих в мировой рейтинг. В топ-10 киберугроз попали три представителя семейств файловых вирусов: Win32/Sality, Win32/Ramnit и Win32/Virut. Троян Win32/TrojanDownloader.Wauchos, упомянутый в отчете за октябрь, увеличил активность. Злоумышленники используют его для установки в систему других вредоносных программ.

В ноябре была обнаружена уязвимость в iOS, получившая название Masque, напомнили в Eset. Она позволяет использовать идентификатор Apple для замены установленного в iOS приложения другим – вредоносным – на устройствах без джейлбрейков. Для установки используется метод «enterprise provisioning» – единственный способ обойти App Store. Новое приложение получит доступ ко всем файлам и конфиденциальным данным прежнего ПО с тем же идентификатором.

В ноябре была обнаружена также новая опасная уязвимость Windows с идентификатором CVE-2014-6332, которая затрагивает почти все версии операционной системы от Windows 95 до Windows 10 Technical Preview. С помощью этой уязвимости в системном компоненте OleAut32.dll атакующие могут удаленно исполнить вредоносный код через браузер в обход таких функций безопасности как DEP и ASLR. Уязвимость была закрыта обновлением MS14-064.

Авторы доклада называют Regin «практически не имеющей равных за исключением Stuxnet/Duqu». Вредонос существует уже по меньшей мере шесть лет, а его разработка потребовала «значительных затрат времени и ресурсов», считают в Symantec.

Авторы предполагают, что его написали спецслужбы какой-то страны, и отмечают, что он похоже нацелен прежде всего на компьютеры в России (28% заражений) и Саудовской Аравии (24%); в США инфекций не обнаружено. Чаще всего вирус поражал магистральные сети операторов связи (28% инфекций), гостиничной индустрии (9%), а также организаций энергетической отрасли, авиакомпаний и исследовательских учреждений (по 5%).

В докладе отмечается, что состав Regin указывает на высокий уровень познаний разработчиков в определенных отраслях, в частности, в инфраструктурном ПО операторов связи. Один из модулей вредоноса следит за сетевым трафиком веб-серверов IIS, другой собирает административный трафик контроллеров базовых станций мобильной связи, еще один анализирует почту в базах Exchange. Преимущественный способ заражения исследователи выявить не смогли; в одном случае инфицирование, похоже, произошло через Yahoo Instant Messenger.

Intercept пишет, что вывод об использовании Regin сделан на основании результатов технического анализа вредоноса.

В «Лаборатории Касперского», в свою очередь, объявили что получили копию вредоноса, заразившего компьютер бельгийского криптографа Жана-Жака Кискате, который утверждал, что атака против него связана с атакой на Belgacom. В «Лаборатории Касперского» пришли к выводу, что вирус из компьютера Кискате принадлежит к платформе Regin.

Специалист по компьютерно-технической экспертизе из компании Fox-It, анализировавший Regin, в интервью Intercept объявил о своей «убежденности» в том, что вирус создан спецслужбами США и Великобритании.

Остается неясным, почему в компаниях, занимающихся информационной безопасностью, не распространялись о Regin, хотя давно знали о вирусе. В частности, в F-Secure сообщили, что видели раннюю версию Regin еще в 2009 году, в Symantec знают о нем уже год, а в базе вредоносов Microsoft он появился в 2011-м.